Drata

Was es ist

Drata ist eine Plattform für Compliance-Automatisierung und Trust-Management. Sie verbindet sich mit Ihren Cloud-Konten, dem Identity Provider, dem HR-System, Code-Repositories und Endgeräten, prüft laufend die Controls von Frameworks wie SOC 2, ISO 27001, HIPAA und GDPR und hält die Nachweise bereit, die der Auditor stichprobenartig prüft. Wie Vanta stellt Drata den Bericht nicht selbst aus: Das übernimmt eine unabhängige Prüfungsgesellschaft oder Zertifizierungsstelle, mit eigener Rechnung.

Zwei Übernahmen und drei Launches aus 2026 bestimmen, was Sie heute kaufen:

• SafeBase Trust Center. Drata hat SafeBase im Februar 2025 für rund $250M gekauft. SafeBase betreibt jetzt das öffentliche Trust Center und AI Questionnaire Assistance, das Dratas eigene Fragebogen-Beta am 2026-04-30 abgelöst hat. Am 2026-10-14 wurde der SafeBase MCP Server allgemein verfügbar. Er gibt MCP-Clients wie Claude berechtigungsbeschränkten Zugriff auf Trust Library, Trust Center, Accounts, Dokumente und Fragebögen. Dieser MCP-Server deckt nur die Trust-Seite ab, nicht die GRC-Controls.
• Agentenbasiertes Third-Party-Risk-Management. Seit 2026-09-16 als eigenständiges Produkt allgemein verfügbar. Es wendet Ihre eigenen schriftlichen Kriterien auf die Nachweise eines Lieferanten an und liefert Belegstellen und einen Risikoscore. Drata gibt jedem Lieferanten eine kostenlose Bewertung des inhärenten Risikos und berechnet erst, wenn ein Lieferant eine vollständige Sicherheitsprüfung braucht, nicht nach Anzahl der Lieferanten.
• AI Agent Governance. Am 2026-06-10 vorgestellt und seit 2026-08-04 in begrenzter Verfügbarkeit für Unternehmen, die Agents auf Anthropic betreiben; die Abdeckung von OpenAI, Google Vertex AI und AWS Bedrock ist noch in Entwicklung. Ein Sensor auf dem Endgerät und ein MCP-Proxy inventarisieren Agents, ordnen jedem einen Owner und Berechtigungen zu, blockieren Richtlinienverstöße inline und protokollieren sie manipulationssicher.

Laut Drata nutzen über 8.500 Organisationen die Plattform. Die letzte öffentliche Umsatzzahl ist $100M ARR im Februar 2025, die letzte bepreiste Runde eine Series C über $200M bei einer Bewertung von $2B im Dezember 2022, gemeinsam angeführt von ICONIQ Growth und GGV Capital.

Warum es in Ops-Stacks auftaucht

• Der Deal Desk wartet auf Sicherheitsprüfungen. Ein fehlender SOC-2-Bericht oder ein langer Fragebogen bremst B2B-Deals, und RevOps spürt es zuerst. Das Trust Center mit den Integrationen für Salesforce und HubSpot erlaubt dem Vertrieb, Dokumentenzugriff ohne Ticket freizugeben.
• Engineering will Controls im Code. Compliance as Code und die Open API sind in jedem Tarif enthalten, eigene Verbindungen und Tests gibt es ab Advanced. Teams, die ihre Checks in den eigenen Repositories halten wollen, landen hier häufiger als bei Vanta.
• Legal Ops verantwortet die Lieferantenunterlagen. Das agentenbasierte TPRM liefert eine Prüfwarteschlange für Lieferanten mit Belegstellen, genau das, was Datenschutz- oder Einkaufsjuristen brauchen, um eine Entscheidung zu verteidigen.

Preise

Drata veröffentlicht die Inhalte der Tarife, aber keine Preise. Foundation deckt bis zu 50 Mitarbeitende und ein vorab gemapptes Framework ab (SOC 2, ISO 27001, Cyber Essentials, HIPAA oder GDPR), mit Trust Center Standard und Fragebogen-Unterstützung für bis zu 100 Fragebögen. Advanced öffnet jedes Framework, eigene Verbindungen und Tests sowie unbegrenzte Standard-Fragebögen. Enterprise ergänzt Risk Management Pro, Compliance as Code Pro und User Access Reviews; die agentenbasierte TPRM-Bewertung ist dort ein Add-on.

Was Käufer zahlen: Vendr meldet einen Median von $24.934 pro Jahr über 236 Käufe, bei einer Spanne von $9.415 bis $68.250. Die Bänder: $12.000-$28.000 unter 50 Mitarbeitenden, $25.000-$50.000 bei 50-250 Mitarbeitenden, $40.000-$65.000 für Programme mit mehreren Frameworks und $60.000-$120.000+ ab 250 Mitarbeitenden. Rechnen Sie $5.000-$20.000 für Implementierungshilfe hinzu, falls Sie sie kaufen, plus das Honorar des Auditors. Vendr beziffert Mehrjahresrabatte auf 15-25 % und typische Erhöhungen bei der Verlängerung auf 5-10 %.

Am besten geeignet für

Security- oder GRC-Leads in B2B-SaaS-Unternehmen mit 50 bis 1.000 Mitarbeitenden, deren Engineers Compliance-Tests im Code wollen und deren Vertrieb ein Trust Center braucht, das Fragebögen beantwortet und Dokumentenzugriff direkt im CRM freigibt. Ebenfalls passend für Rechts- oder Einkaufsteams, die Lieferanten gegen eigene Kriterien prüfen wollen statt eine Lizenz nach Lieferantenzahl zu bezahlen.

Nicht geeignet: ein 15-köpfiges Startup, das mit kleinstem Budget sein erstes SOC 2 anstrebt; Comp AI oder Sprinto kosten weniger. Und nicht für Teams, deren KI-Agents heute überwiegend auf OpenAI oder Bedrock laufen, denn Agent Governance deckt diese noch nicht ab.

Worauf Sie achten sollten

• Foundation ist schnell ausgereizt. Ein Framework und eine Obergrenze von 50 Mitarbeitenden bedeuten: Ein zweites Framework oder eine Einstellungswelle erzwingt das Gespräch über Advanced. Die Absicherung: Lassen Sie Advanced bei der ersten Verhandlung parallel zu Foundation anbieten, und holen Sie den Add-on-Preis pro Framework schriftlich ein, bevor Sie den In-App-Button „Framework hinzufügen” nutzen, der am 2026-10-16 kam.
• Verlängerungen steigen mit der Mitarbeiterzahl. Die Absicherung: Fixieren Sie das Mitarbeiterband im Bestellformular und deckeln Sie Verlängerungserhöhungen bei 5-8 %, was Käufer laut Vendr erreichen, wenn sie es von Anfang an verlangen.
• Zwei Produkte unter einem Logo. Trust Center, Fragebogen-Tools und MCP-Server stammen von SafeBase; Controls und Nachweise stammen von Drata. Die Absicherung: Lassen Sie sich in der Demo zeigen, wie eine Control-Änderung ohne erneuten manuellen Upload im Trust Center ankommt, und klären Sie, welche MCP-Scopes Ihr KI-Client tatsächlich erhält.
• KI-Antworten gehen unter Ihrem Namen raus. Die Absicherung: Verlangen Sie, dass eine namentlich benannte Person Fragebogenantworten zu jedem Control freigibt, das sich in den letzten 12 Monaten geändert hat.

Alternativen und wann Sie sie wählen

Vanta ist nach Größe der Marktführer im Segment: $300M ARR und über 16.000 Kunden im April 2026, mit einem Vendr-Median um $20.000. Wählen Sie Vanta, wenn Sie das größte Netz aus Auditoren und Integrationen wollen und einen gehosteten MCP-Server, noch in Beta, der bis zu den Controls selbst reicht.

Secureframe beginnt bei rund $7.500 pro Jahr. Wählen Sie es, wenn Sie beim ersten Audit mehr direkte Betreuung durch den Anbieter wollen.

Sprinto zielt auf kostenbewusste Teams, oft außerhalb der USA. Wählen Sie es für ein erstes SOC 2 unter 100 Mitarbeitenden, wenn der Preis mehr zählt als die Marke.

Der am schnellsten wachsende Neueinsteiger ist Comp AI, eine Open-Source-Plattform unter AGPLv3, die am 2026-09-17 eine Series A über $34M aufgenommen hat. Wählen Sie es, um selbst zu hosten oder um eine fünfstellige Lizenz für ein erstes SOC 2 zu vermeiden.

Wenn Sie bereits OneTrust für Datenschutz einsetzen, holen Sie Preise für dessen GRC-Module ein, bevor Sie ein zweites führendes System einführen. Für Agent-Governance über mehrere Modellanbieter hinweg deckt eine dedizierte Schicht wie Zenity oder WitnessAI heute mehr ab. Um Lieferantenprüfungen ohne Plattform zu beschleunigen, sehen Sie sich den Skill für Lieferanten-Due-Diligence-Fragebögen an.